Sàn giao dịch phi tập trung Ostium Perp bị tấn công oracle, thiệt hại 18 triệu USD

Nền tảng perpetual RWA Ostium trên Arbitrum vừa bị mất gần 18 triệu USDC trong ngày hôm nay sau khi hacker chiếm được khóa ký oracle và điều chỉnh giá theo ý mình.

Nguyên nhân chính của vụ tấn công là do private key của oracle signer bị lộ. Điều này giúp hacker vượt qua các bước xác minh, đưa ra dự báo giá có lợi cho mình trong tương lai. Hacker đã thực hiện khoảng 20 lệnh giao dịch liên tiếp thông qua các hành động ủy quyền, thu về lợi nhuận ngay lập tức từ giao thức mà không hề phải chịu rủi ro thực của thị trường.

Khai thác lỗ hổng khiến một phần ba vault bị rút sạch chỉ trong vài giờ

Công ty bảo mật Blockaid là đơn vị đầu tiên cảnh báo về sự cố này. Theo đó, hacker đã sử dụng một công cụ PriceUpKeep forwarder đã đăng ký cùng với các báo cáo oracle xác thực theo mốc thời gian trong tương lai, tạo ra lợi nhuận giao dịch giả tạo. Thủ thuật này khiến hàng loạt giao dịch mở – đóng liên tục được thực hiện, rút dần tiền khỏi kho thanh khoản chính của Ostium.

🚨 Blockaid detected an @Ostium Vault exploit on Arbitrum.An attacker used a registered PriceUpKeep forwarder and future-dated authorized oracle reports to create artificial trade profit, triggering a ~$18M USDC payout from the vault.More details in 🧵

— Blockaid (@blockaid_) July 15, 2026

Theo dõi chúng tôi trên X để cập nhật tin tức mới nhất

Dữ liệu on-chain cho thấy hacker đã rút khoảng 11.86 triệu USD – 18 triệu USD USDC khỏi vault, tương đương với khoảng 28% tổng giá trị TVL là 63 triệu USD tại thời điểm vụ tấn công xảy ra. Giao dịch chính của vụ khai thác này đã được xác thực công khai trên Arbiscan.

Ostium là một sàn giao dịch perpetual phi tập trung hàng đầu tập trung vào các tài sản thực như cổ phiếu, hàng hóa, ngoại hối và chỉ số, được xây dựng trên Arbitrum.

Được hậu thuẫn lớn, gặp phải cú sốc lớn

Dự án này từng huy động được khoảng 27.8 triệu USD từ những nhà đầu tư hàng đầu như General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute và GSR.

Dù nhận được sự hậu thuẫn mạnh mẽ từ các tổ chức lớn và đã trải qua nhiều cuộc kiểm toán, vụ việc vẫn cho thấy các rủi ro trong các hạ tầng RWA phụ thuộc vào oracle vẫn còn tồn tại rất lớn.

Hiện, vụ khai thác đang được các bên điều tra làm rõ. Người dùng nên cập nhật thường xuyên các kênh thông báo chính thức để biết thêm hướng dẫn rút tiền và thông tin về bảo mật. Sự việc này nhấn mạnh nhu cầu phải quản lý chặt chẽ hơn các khóa oracle và giám sát hệ thống theo thời gian thực trong các giao thức DeFi kết hợp.

Khi mảng perpetual RWA phát triển nhanh chóng, vụ việc này là lời nhắc nhở quan trọng: ngay cả những dự án có tài trợ lớn cũng không miễn nhiễm với các rủi ro bị tấn công vào private key và oracle.